RGPD (Regulamento Geral de Proteção de Dados)

O que é o RGPD?

O RGPD é o quadro normativo comunitário que uniformiza a proteção das pessoas singulares no tratamento dos seus dados pessoais e a livre circulação desses dados, vinculando todas as organizações públicas e privadas operantes no espaço europeu.

O Regulamento 2016/679 (RGPD) é o quadro normativo europeu que estabelece as regras de proteção, tratamento e livre circulação de dados pessoais. Aplicável desde 25 de maio de 2018, é enquadrado em Portugal pela Lei n.º 58/2019 e supervisionado pela Comissão Nacional de Proteção de Dados (CNPD).

O RGPD vincula qualquer organização, sediada ou não na EU, que trate dados de residentes no espaço europeu. O regulamento exige uma cultura de responsabilidade proativa, em que o cumprimento deve ser demonstrável.

Quais os princípios fundamentais do tratamento de dados?

Os princípios fundamentais do RGPD exigem que o uso dos dados pessoais seja limitado às finalidades explícitas. Os dados devem ser conservados apenas pelo tempo indispensável e salvaguardados com integridade e confidencialidade.

O Artigo 5.º do RGPD estabelece os pilares sobre os quais deve assentar todo e qualquer ciclo de vida dos dados pessoais. O não cumprimento destes princípios fundamentais constitui uma infração grave, sujeita à aplicação de coimas.

• Licitude, lealdade e transparência: O tratamento deve ter fundamento jurídico válido, ser realizado de forma justa para com o titular e ser acompanhado por informações claras e percetíveis sobre como os dados são recolhidos e utilizados.
• Limitação das finalidades: Os dados devem ser recolhidos para finalidades determinadas, explícitas e legítimas, não podendo ser posteriormente tratados de uma forma incompatível com esses objetivos iniciais.
• Minimização dos dados: Os dados pessoais recolhidos devem ser adequados, pertinentes e limitados ao que é estritamente necessário relativamente às finalidades para as quais são tratados.
• Exatidão: Os dados devem ser exatos e, se necessário, atualizados, devendo ser adotadas todas as medidas adequadas para que os dados inexatos sejam apagados ou retificados.
• Limitação da conservação: Os dados devem ser conservados de uma forma que permita a identificação dos titulares apenas durante o período estritamente necessário para as finalidades do tratamento.
• Integridade e confidencialidade: As empresas devem garantir a segurança dos dados, incluindo a proteção contra o tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental, adotando medidas técnicas adequadas.
• Responsabilidade proativa: O responsável pelo tratamento de dados deve ser capaz de demonstrar o cumprimento perante as autoridades de controlo.

Quais as bases legais para o tratamento de dados pessoais?

Qualquer tratamento de dados pessoais só é legítimo se assentar numa das seis bases legais previstas no artigo 6.º do RGPD: consentimento, execução de contrato, obrigação legal, interesses vitais, interesse público ou interesse legítimo do responsável.

Para que o tratamento de dados pessoais seja considerado lícito perante o RGPD, a organização deve determinar e documentar com precisão a base jurídica aplicável a cada finalidade de tratamento.

• Consentimento: O titular deu o seu consentimento livre, específico, informado e inequívoco para uma ou mais finalidades determinadas. O consentimento pode ser retirado a qualquer momento com a mesma facilidade com que foi prestado.
• Execução de contrato: O tratamento é necessário para a execução de um contrato no qual o titular dos dados é parte, ou para diligências pré-contratuais a pedido do titular.
• Obrigação legal: O tratamento é necessário para o cumprimento de uma obrigação jurídica a que o responsável pelo tratamento esteja sujeito por força do direito europeu ou nacional.
• Interesses vitais: O tratamento é necessário para proteger a vida ou a integridade física do titular dos dados ou de outra pessoa singular.
• Interesse público: O tratamento é necessário ao exercício de funções de interesse público ou ao exercício da autoridade pública.
• Interesse legítimo: O tratamento é necessário para efeito dos interesses legítimos prosseguidos pelo responsável ou por terceiros, exceto se prevalecerem os interesses ou direitos e liberdades fundamentais do titular.

Quais os direitos dos titulares dos dados?

O RGPD confere aos cidadãos um conjunto de direitos fundamentais sobre os seus dados, incluindo o acesso, retificação, apagamento, limitação, portabilidade, oposição e a garantia de não ficarem sujeitos a decisões exclusivamente automatizadas.

A capacitação dos cidadãos quanto ao controlo das suas informações pessoais é um dos pontos centrais do RGPD. As organizações devem implementar procedimentos operacionais e técnicos que permitam responder aos pedidos dos titulares no prazo máximo de 30 dias (prorrogável por mais dois meses em casos de elevada complexidade).

Os direitos dos titulares dos dados incluem:

• Direito de acesso (Artigo 15.º): O titular tem o direito de confirmar se os seus dados estão a ser tratados e de aceder a uma cópia completa, e a informações detalhadas sobre a finalidade e conservação.
• Direito de retificação (Artigo 16.º): Permite exigir a correção de dados pessoais inexatos ou a inclusão de dados incompletos.
• Direito ao apagamento / “Direito ao esquecimento” (Artigo 17.º): O titular pode solicitar a eliminação dos seus dados quando estes deixem de ser necessários para a finalidade original, quando retire o consentimento ou quando o tratamento seja ilícito.
• Direito à limitação do tratamento (Artigo 18.º): Permite ao titular solicitar o congelamento do tratamento dos seus dados.
• Direito de portabilidade (Artigo 20.º): O titular tem o direito de receber os seus dados pessoais num formato estruturado, de uso corrente e de leitura automática (por exemplo, XML ou CSV) e de os transmitir a outro responsável pelo tratamento.
• Direito de oposição (Artigo 21.º): Confere a possibilidade de o titular se opor a qualquer momento ao tratamento dos seus dados por motivos relacionados com a sua situação particular.
• Direito de não sujeição a decisões automatizadas (Artigo 22.º): Garante que o titular não fica sujeito a decisões tomadas exclusivamente com base em tratamento automatizado que produzam efeitos na sua esfera jurídica.

Quais as obrigações do responsável pelo tratamento e do subcontratante?

O responsável pelo tratamento determina as finalidades e meios do tratamento, enquanto o subcontratante trata dados em seu nome, devendo ambos formalizar contratos de subcontratação e implementar medidas técnicas adequadas de segurança.

O RGPD clarifica a cadeia de responsabilidades ao distinguir dois papéis centrais: o Responsável pelo Tratamento (Data Controller), que determina as finalidades e os meios do tratamento, e o Subcontratante (Data Processor), que trata os dados por conta e sob as instruções documentadas do primeiro.

Ao abrigo do Artigo 28.º do RGPD, a relação entre ambos exige um Acordo de Tratamento de Dados (Data Processing Agreement – DPA). Este contrato estabelece o objeto, a duração, as categorias de dados e as obrigações de segurança de cada parte. Para garantir o cumprimento das exigências do regulamento, o subcontratante deve demonstrar medidas técnicas rigorosas, sendo a certificação ISO 27001 a principal referência internacional para evidenciar a segurança da infraestrutura e dos processos.

Qual o papel do Encarregado de Proteção de Dados (DPO)?

O DPO é o especialista designado para aconselhar a organização no cumprimento do RGPD, emitir pareceres sobre avaliações de impacto, auditar processos e atuar como ponto de contacto com a CNPD e titulares.

Ao abrigo do Artigo 37.º do RGPD, a nomeação de um Encarregado de Proteção de Dados (Data Protection Officer – DPO) é obrigatória nos seguintes contextos:

1. Caso o tratamento seja efetuado por uma autoridade ou organismo público.
2. Se as operações de tratamento exigirem um controlo regular e sistemático em larga escala.
3. Caso as atividades principais consistam no tratamento em larga escala de categorias especiais de dados (dados sensíveis) ou de dados relacionados com condenações penais e infrações.

As funções Encarregado de Proteção de Dados (DPO) incluem:

• Informar e aconselhar o responsável e os colaboradores;
• Monitorizar a conformidade com o RGPD e políticas internas;
• Prestar aconselhamento sobre a AIPD (Avaliação de Impacto sobre a Proteção de Dados);
• Cooperar com a autoridade de controlo CNPD (Comissão Nacional de Proteção de Dados);
• Atuar como ponto de contacto para a CNPD e titulares.

Como funcionam as violações de dados e qual o prazo de notificação?

Em caso de violação de dados pessoais que apresente risco para os direitos e liberdades dos cidadãos, a organização deve notificar a CNPD no prazo máximo de 72 horas após tomar conhecimento.

Uma violação de dados pessoais é uma quebra de segurança que provoca, de modo acidental ou ilícito, a destruição, perda, alteração, divulgação ou o acesso não autorizado a dados pessoais.

Neste caso, o responsável pelo tratamento deve seguir um protocolo de resposta a incidentes:

1. Notificação à CNPD (Artigo 33.º): Deve ser efetuada no prazo máximo de 72 horas após ter tomado conhecimento do incidente. Se a notificação não for transmitida dentro desse prazo, deve ser acompanhada dos motivos do atraso. Caso a violação seja suscetível de não originar um risco para os direitos e liberdades das pessoas singulares, a notificação à autoridade é dispensada.

2. Comunicação aos Titulares (Artigo 34.º): Quando a violação de dados pessoais for suscetível de implicar um elevado risco para os direitos e liberdades dos cidadãos, o responsável pelo tratamento deve comunicar a violação ao titular dos dados sem demora injustificada, em linguagem clara e simples.

3. Registo Interno de Incidentes: A organização deve documentar todas as violações de dados pessoais (incluindo os factos relacionados com as mesmas, os seus efeitos e as medidas de reparação adotadas), independentemente de serem sujeitas a notificação à CNPD. Este registo deve estar disponível para ser auditado por parte da autoridade de controlo.